瑞典IMY对IT供应商Miljödata罚款180万瑞典克朗：以GDPR第32条认定软件测试与实时监控措施不足，另对三家市政主体立案

事件背景是2025年8月底的一起勒索软件攻击。攻击扰乱了瑞典多个市镇与地区的IT服务，攻击者索要1.5枚比特币（当时约合16.8万美元），未获支付后以“Datacarry”名义在暗网发布窃得数据。被泄露信息包括个人身份号码、联系方式、病假与康复记录，以及与未成年人相关的校园事件信息。据Miljödata称，攻击源于其约在攻击前一周安装的一个防火墙支持组件，该组件版本陈旧并含长期已知的严重漏洞。

IMY认定，Miljödata未能对新增安装的软件进行充分检查，且缺乏自动化、实时的入侵与可疑活动监控，因而未能就其所处理的个人数据类型维持足够高的技术与组织安全水平，违反GDPR第32(1)条。IMY局长Eric Leijonram表示，Miljödata的失职导致威胁行为者获取了瑞典相当大比例人口的信息，事件性质严重，希望其他组织引以为戒，检视自身所负责个人数据的安全状况。

该案在执法逻辑上有标志性意义：监管机构并非因“被入侵”本身处罚，而是因企业在入侵前具体缺失的安全控制而处罚，并明确点名了缺失项。GDPR第32(1)(b)条要求持续保障处理系统的保密性、完整性、可用性与韧性，第32(1)(d)条要求建立定期测试、评估和评价技术措施有效性的流程——一次性的年度渗透测试已难以回应“定期评估有效性”的要求。

Miljödata表示不完全认同IMY的结论，并可在三周内向行政法院提起上诉。针对该次攻击，警方曾就严重数据入侵与严重敲诈未遂立案，后因证据不足结案。IMY同时表示，已对与该次攻击相关的两个市镇和一个地区——哥德堡市、西曼兰地区与Älmhult市镇——另行立案，调查结束后可能追加处罚。